Functions.php dosyasında temanın lisans / şifreleme kodları varsa shell taraması yapıldığında bunları shell olarak algılayabiliyor, başıma geldi benim de. Güvenlikten dolayı ve büyük ihtimal shell olarak gördüğü için siliyor olabilir. Firmanıza sorun isterseniz :)